在特定的帖子请求上防止节点 xss sanitizer

Question

Context 是一个 node express api，我在我的主 server.js 文件上使用 xss-clean：

const xss = require('xss-clean');

// Prevent XSS attacks
app.use(xss());

问题：我想保存富文本，但在清理过程中被破坏了。

我想在全局范围内保留此功能，但是它阻止我通过前端的富文本编辑器（即tiptap-vue）保存富文本。使用编辑器保存的文本包含 html 标记，保存到数据库时会转义，当通过 get 请求推回前端时，文本会读取转义和元素的标记。

有没有办法阻止这个全局组件处理一个特定请求或请求中的特定数据？

或者有没有办法取消转义以便在前端使用？

Answer 1

您可以简单地从您自己的 node_modules 文件夹中修改中间件，并在它开始解析请求对象的源代码文件中，您可以添加条件逻辑来检查请求对象是否满足您正在检查的条件-- 是特定请求还是请求中包含特定数据--然后决定是否对请求对象使用清理功能。

[未修改] xss-clean/src/index.js:

import { clean } from './xss'

/**
 * export middleware
 * @return {function} Middleware function
*/
module.exports = function () {
 return (req, res, next) => {
   if (req.body) req.body = clean(req.body)
   if (req.query) req.query = clean(req.query)
   if (req.params) req.params = clean(req.params)

   next()
 }
}

到

import { clean } from './xss'

/**
 * export middleware
 * @return {function} Middleware function
*/
module.exports = function () {
 return (req, res, next) => {
   if (req.url === "your route path") {
     //don't use clean() on request object OR you can store only the data you want 
     //in a temp variable to avoid getting sanitized, then sanitize the request 
     //object with clean(), and then replace that sanitized data with the data
     //in the temp variable OR as a new property in the req object
     const dataPoint = req.body.something.dataPoint;
     req.body = clean(req.body);
     req.body.something.dataPoint = dataPoint;
      
     return next();
   }

   if (req.body) req.body = clean(req.body)
   if (req.query) req.query = clean(req.query)
   if (req.params) req.params = clean(req.params)

   next()
 }
}

这有点老套，但确实可以。除非您确定这不会成为问题，否则不进行消毒是很危险的。您也可以简单地不在您的应用程序中全局使用此中间件，而仅在您希望此中间件清理的路由上使用它。